Gerador de senhas fortes

Senhas fortes, geradas no seu dispositivo

O gerador de senhas do Fileopia cria senhas aleatórias, frases-senha fáceis de lembrar e PINs numéricos com um clique. Cada caractere é escolhido pelo gerador de números aleatórios criptograficamente seguro do seu navegador (crypto.getRandomValues da Web Crypto API), com amostragem por rejeição para que todos os caracteres tenham exatamente a mesma probabilidade. Nada é enviado a nenhum servidor: as senhas só existem na sua tela e na sua área de transferência, e a página continua funcionando com a internet desligada.

Cada resultado mostra sua entropia em bits, uma avaliação de força em linguagem simples e uma estimativa de quanto tempo levaria um ataque de força bruta. Você pode gerar até 500 de uma vez, copiá-las uma a uma ou todas juntas, ou baixá-las como arquivo de texto. Não há conta, nem e-mail, nem tentativas de vender um gerenciador de senhas.

O que você pode gerar

• Senha aleatória: de 4 a 128 caracteres entre minúsculas, maiúsculas, dígitos e símbolos. Cada conjunto ativado aparece pelo menos uma vez, o que cumpre as regras de senha da maioria dos sites.
• Frase-senha: de 3 a 12 palavras aleatórias da lista longa da EFF (7776 palavras em inglês), com separador à escolha (hífen, espaço, ponto, sublinhado, nenhum ou um dígito aleatório entre as palavras), maiúsculas opcionais e um número opcional. Fácil de digitar no celular e fácil de lembrar.
• PIN: dígitos aleatórios para desbloquear o celular, cartões, códigos de portas e códigos de backup da verificação em duas etapas.
• Evitar caracteres parecidos: remove I, l, 1, O, 0, o e | para que as senhas que você lê em voz alta ou copia de um papel não se confundam.
• Excluir caracteres: remove os símbolos que um site recusa, como aspas, colchetes ou espaços.
• Geração em lote: até 500 senhas de uma vez para cadastrar contas ou criar dados de teste, baixáveis em TXT.
• Verificador de força: digite uma senha existente para ver uma estimativa aproximada da força dela; detecta as senhas mais comuns, palavras de dicionário, anos e sequências do teclado. Nunca sai da página.

Como criar uma senha forte

• Escolha Senha aleatória para as contas que você guarda em um gerenciador de senhas, ou Frase-senha para as poucas senhas que precisa lembrar (o login do computador, a senha mestra do gerenciador).
• Defina o tamanho: 16 caracteres ou 5–6 palavras é um bom padrão.
• Deixe todos os conjuntos de caracteres ativados, a menos que um site os restrinja; marque *Evitar caracteres parecidos* se for digitá-la à mão.
• Clique no botão Copiar de uma senha e cole-a no formulário de cadastro; depois guarde-a no seu gerenciador de senhas ou no navegador.
• Clique em Gerar de novo para obter uma nova leva, ou em Baixar lista para muitas de uma vez.

Quanta força é suficiente?

A força de uma senha é medida em bits de entropia: o número de tentativas de que um atacante precisaria, expresso como potência de dois. Cada bit extra dobra o trabalho. A entropia de uma senha aleatória é o tamanho × log₂(tamanho do conjunto de caracteres). Com os 94 caracteres imprimíveis, cada caractere acrescenta cerca de 6,55 bits; só com dígitos, cada um acrescenta 3,32 bits. Cada palavra escolhida ao acaso da lista da EFF de 7776 palavras acrescenta 12,9 bits.

A tabela abaixo supõe um atacante que roubou um banco de dados de hashes de senhas e consegue testar 10 bilhões de tentativas por segundo, algo realista com um hash rápido e sem sal em placas de vídeo modernas. Hashes lentos como bcrypt ou Argon2 reduzem essa velocidade por um fator de milhares ou milhões, e ataques online contra uma página de login são ainda mais lentos. Os tempos são médias (metade do espaço de busca).

Como regra geral, 72 bits ou mais é seguro para quase qualquer conta, e 100 bits ou mais é muito seguro. Isso equivale a uma senha de 12 caracteres com todos os conjuntos, uma de 16 caracteres para mais margem ou uma frase-senha de seis palavras.

Senhas vs. frases-senha

Uma senha aleatória de 16 caracteres como `Ut)9NwMw/zt?KMH2` é muito forte mas quase impossível de lembrar, e tudo bem, porque um gerenciador de senhas lembra por você. Uma frase-senha como `Quarry-Subsystem-Flashback-Atom-Patriot` tem força parecida por toque no teclado do celular e é memorizada depois de usá-la algumas vezes. As palavras devem ser escolhidas ao acaso pelo gerador, não por você: as pessoas escolhem frases previsíveis, letras de músicas e citações, que são a primeira coisa que os atacantes testam.

Por que suas senhas devem ser únicas

O maior perigo não é um atacante adivinhar uma senha forte, mas uma senha que você reutilizou vazar em um site e depois ser testada em todos os outros: uma técnica chamada credential stuffing (preenchimento de credenciais). Bilhões de pares de usuário e senha vazados circulam pela internet. Se a senha da sua loja online é a mesma do seu e-mail, uma violação na loja entrega seu e-mail e, com ele, a redefinição de senha de todo o resto. Gere uma senha diferente para cada conta e deixe um gerenciador de senhas ou seu navegador guardá-las.

Padrões que deixam uma senha fraca

• Palavras de dicionário com pequenas mudanças: Verao2024!, P@ssw0rd, Brasil123. As ferramentas de quebra testam primeiro cada palavra com as substituições, maiúsculas e anos mais comuns.
• Informações pessoais: nomes, aniversários, nomes de pets, números de telefone, placas de carro e times de futebol são fáceis de encontrar nas redes sociais.
• Padrões e sequências do teclado: qwerty, 1q2w3e4r, asdfgh, 123456, abcd.
• Pouco tamanho: uma senha de 8 caracteres, mesmo com símbolos, pode ser quebrada por força bruta em horas por um atacante determinado com um hash roubado.
• Reutilizar com um contador: Senha1, Senha2, Senha3 quando você é obrigado a trocá-la.
• Sequências «aleatórias» escolhidas por pessoas: as pessoas favorecem certas letras e posições; a aleatoriedade real vem de um gerador.

Como o gerador funciona

Quando você clica em *Gerar de novo*, a página pede à Web Crypto API do navegador números aleatórios de 32 bits. Para escolher um caractere de um conjunto de, por exemplo, 70 caracteres, ela descarta qualquer número da pequena faixa que sobra acima do maior múltiplo de 70 e sorteia outro. Essa amostragem por rejeição elimina o «viés do módulo» que os geradores simples têm, em que alguns caracteres saem um pouco mais vezes. Primeiro é colocado um caractere de cada conjunto ativado, o resto é preenchido com o conjunto combinado e a sequência inteira é embaralhada com o algoritmo de Fisher–Yates usando a mesma fonte aleatória sem viés.

As frases-senha escolhem palavras da mesma forma a partir da lista longa da EFF, criada pela Electronic Frontier Foundation para frases-senha com dados: 7776 palavras inglesas comuns, distintas e fáceis de soletrar, então cada palavra contribui exatamente log₂(7776) ≈ 12,9 bits. A lista é carregada deste site só quando você escolhe o modo frase-senha.

Você mesmo pode conferir: abra as ferramentas de desenvolvedor do navegador, veja a aba de rede e gere senhas: nenhuma requisição é feita. Ou desconecte-se da internet e continue gerando.

Regras de senha dos sites

Muitos sites exigem pelo menos uma maiúscula, um dígito e um símbolo, e alguns recusam certos símbolos ou limitam o tamanho. Com os quatro conjuntos ativados, cada senha gerada contém pelo menos um caractere de cada conjunto. Se um site recusar um símbolo, digite-o em *Excluir caracteres*. Se um site limitar o tamanho, por exemplo a 12 ou 20 caracteres, ajuste o tamanho de acordo, mas mantenha pelo menos 12 caracteres para uma boa força. As diretrizes atuais do Instituto Nacional de Padrões e Tecnologia dos EUA (NIST SP 800-63B) recomendam que os sites permitam senhas e frases longas, verifiquem as senhas novas contra listas de senhas vazadas e evitem impor regras de composição arbitrárias e trocas periódicas, mas muitos sites ainda as têm, então o gerador suporta os dois estilos.

Guardar senhas com segurança

• Use um gerenciador de senhas: Bitwarden, 1Password, KeePassXC, o integrado ao seu navegador ou o chaveiro do seu celular. Assim você só precisa lembrar uma frase-senha forte.
• Ative a verificação em duas etapas (um app autenticador ou uma chave de segurança) no e-mail, no banco, nas redes sociais e no seu gerenciador de senhas.
• Não guarde senhas em arquivos de texto, rascunhos de e-mail nem mensagens de chat. Se baixar uma lista desta página, passe as senhas para um gerenciador e apague o arquivo.
• Se você tem medo de esquecer sua frase-senha mestra, escreva-a em papel e guarde em um lugar seguro em casa: papel não pode ser hackeado à distância.
• Troque uma senha imediatamente se um site avisar que sofreu uma violação, e também em qualquer outro lugar onde você usou a mesma.

PINs e códigos

Um PIN de 4 dígitos tem só 10 000 possibilidades e um de 6 dígitos, um milhão. Isso só é aceitável porque celulares e cartões bancários bloqueiam ou apagam os dados depois de poucas tentativas erradas. Evite 1234, 0000, anos de nascimento e dígitos repetidos, que juntos são uma grande parte dos PINs reais. O modo PIN escolhe cada dígito de forma uniformemente aleatória. Para qualquer coisa que possa ser atacada offline (um arquivo criptografado ou um backup), use uma senha ou frase-senha longa.

Senhas em lote para equipes e testes

Administradores que cadastram contas para uma turma, um escritório ou um ambiente de testes podem gerar até 500 senhas únicas de uma vez e baixá-las como arquivo de texto, uma por linha, prontas para colar em uma planilha ao lado dos nomes de usuário. Peça a cada pessoa que troque a senha inicial no primeiro login. Como tudo é gerado localmente, a lista nunca é guardada em nenhum servidor.

Privacidade

As senhas são geradas no seu navegador e o Fileopia nunca as transmite, registra ou armazena. A página não usa cookies nem análises sobre os valores que você cria ou verifica. O verificador de força analisa o texto que você digita inteiramente dentro da página e não o envia a lugar nenhum; ele não consulta bancos de dados de vazamentos, porque isso exigiria enviar dados para fora do seu dispositivo.

Ferramentas relacionadas

• Gerador de hash
• Proteger PDF
• Gerador de QR Code
• Gerador de UUID
• Codificador Base64